DORA（金融デジタル運用レジリエンス法）

文書基準: 2026年8月

概要

DORA（Digital Operational Resilience Act、デジタル運用レジリエンス法） は、EU金融業界のICTリスク管理を標準化する規則です。非EU金融機関のEU現地法人・支店、EU金融機関にクラウド・ICTサービスを提供するベンダー、そしてこれらと契約する自国のIT供給会社は、いずれもDORAの影響範囲に入り得ます。DORAは規則（Regulation）であるため、各加盟国の別途立法なしにEU全域に直接適用されます。

適用開始と対象

DORAは2023年1月16日に発効し、2025年1月17日から適用されました。

対象金融機関: 銀行、保険会社、投資会社、決済機関、暗号資産サービス提供者など20類型（EU欧州委員会の2026年レビュー文書に基づく）、約2万社と推定されるEU規制対象金融機関。監督はEBA（欧州銀行監督機構）・EIOPA（欧州保険年金監督機構）・ESMA（欧州証券市場監督機構）、すなわちESAs（European Supervisory Authorities） が類型別に分担します。
対象ICT第三者提供者: 上記金融機関に「重要または必須の機能」を支援するICTサービス提供者（クラウド、データセンター、ソフトウェアベンダーなど）も、間接的にDORA要件の適用を受けます。金融機関がこれらの提供者と締結する契約に、DORAが要求する条項（アクセス権、監査権、終了条項など）を反映する必要があるためです。

CTPP指定状況

DORAは、システム上重要なICT第三者提供者をCTPP（Critical ICT Third-Party Provider、重要ICT第三者提供者） として指定し、直接監督（oversight）する体系を導入しました。

2025年11月18日、ESAsが最初のCTPPリストを発表しました。合計19社の機関が指定され、AWS、Google Cloud、Microsoftなどハイパースケーラー3社と、データセンター運営会社、通信会社、フィンテック専門企業が含まれました。

指定基準は、以下を総合的に評価します。

障害発生時のシステム的影響度
依存する金融機関の数と重要度
市場集中度
代替提供者への切り替え可能性

指定されたCTPPの新規義務:

EU域外に本社を置くCTPPは、指定後12か月以内にEU子会社を設立する義務があります（EU内の調整窓口としての役割）
ESAsへの年間監督手数料の納付
リスク評価、インシデント報告など金融機関に準じる水準の規制監督対象化
違反時の制裁可能性への露出（従来は金融機関のみが直接規制対象であったが、DORA以降はベンダーも直接監督対象となる）

ICTリスク管理の主要要件

DORAが金融機関に求める主要要件は、大きく5つの領域に分かれます。

領域	要件
ICTリスク管理フレームワーク	取締役会承認の下での全社的ICTリスク管理体系、定期的な見直し
インシデント分類・報告	重大なICTインシデントを定められた期限内に監督当局へ報告（初期報告 → 中間報告 → 最終報告の段階）
レジリエンステスト	脆弱性スキャンから脅威ベース侵入テスト（TLPT、Threat-Led Penetration Testing）まで等級別のテスト
ICT第三者リスク管理	情報登録簿（Register of Information）の維持、契約必須条項、集中リスク評価
情報共有	サイバー脅威情報を同業機関間で自発的に共有する体系

集中リスクと出口戦略

DORAにおいてクラウドアーキテクチャと最も直接的に結びつくのが、ICT第三者リスク管理条項です。

情報登録簿（Register of Information）: 金融機関は、すべてのICT第三者契約（直接・間接、下位アウトソーシングを含む）を登録簿で管理し、監督当局からの要求時に提出する必要があります。
集中リスク（Concentration Risk）評価: 特定少数のベンダー（特にCTPPとして指定されたハイパースケーラー）への過度な依存を定期的に評価する必要があります。単一クラウドベンダーに重要機能が集中している場合は、代替策の準備計画が必要です。
出口戦略（Exit Strategy）の文書化: 「重要または必須の機能」を支援するICTサービスについては、書面による出口戦略を策定し、定期的に検証する必要があります。リストに掲載された19社のCTPPと契約関係がある場合、当該ベンダーに対する出口計画を文書化し、最低年1回点検することが実務上推奨されます。

アーキテクチャ・実務上の示唆

マルチクラウドは集中リスク緩和の手段であり、目標そのものではありません。 DORAは「複数のベンダーを使わなければならない」とは規定していません。単一ベンダーの使用がリスク評価・緩和計画とともに文書化されていれば、規制上の問題にはなりません。
CTPPベンダーとの契約書にDORA必須条項が反映されているかを確認する必要があります（アクセス・監査権、データ所在地、下位アウトソーシングの通知、終了支援義務など）。大手ベンダーはすでにDORA対応契約条項（addendum）を標準提供している場合が多くあります。
インシデント対応プロセスにDORA報告期限を反映する必要があります。ベンダーのインシデント通知SLAが金融機関の監督当局報告期限より遅い場合、規制違反につながる可能性があります。
ランディングゾーン設計段階から情報登録簿用のメタデータ（契約範囲、データ所在地、下位処理者）を体系的に管理することが、事後監査より効率的です。